主页 / server / 问题 / 67295
Accepted
Mr. Shiny and New 安宇
Asked: 2009-09-22 05:12:25 +0800 CST

相同 IP/主机名的 Cisco CSM-S（带 SSL）安全和非安全服务？

  • 772

我们有一个带有 SSL 的 Cisco CSM-S 内容交换机。目前我们的网站在这个开关后面，它为 HTTP 和 SSL 站点执行负载平衡。http 和 https 站点使用不同的主机名

                             *****   
        http://www.site.com=>* *==>主要服务器
                             * C *   
                             * 小号 *   
                             * 米 *
    https://secure.site.com=>* *==>Ecom 服务器
                             *****

SSL 流量由 CSM 中的 SSL 子卡解密，然后根据 HTTP 主机名通过 URL 将流量路由到各种服务器。我想为非 ecom 安全页面的主站点添加 HTTPS 支持，但我的管理员说 CSM 无法以这种方式路由流量。这是我计划的配置：

                              *****   
         http://www.site.com=>* *=(http)=>主要服务器
        https://www.site.com=>* C *   
                              * 小号 *   
                              * 米 *
     https://secure.site.com=>* *=(http)=>Ecom 服务器（安全网络）
                              *****

按照我的理解，SSL 子卡应该在 HTTP 路由下的一层运行，因此主站点的安全和非安全页面都转到相同的内部服务器这一事实应该允许这种配置工作。

有谁知道 CSM-S 是否支持这种配置？如果是这样，我如何向我的管理员描述它需要如何设置？

ssl

2 个回答

  1. Best Answer

    如果 www.site.com 和 secure.site.com 解析为不同的 IP 地址，我看不出这会是什么问题。我们有一个非 SSL CSM，今天就这样做。CSM-S 为您提供的主要附加功能是对 SSL 数据包的可见性，以实现负载平衡和硬件 SSL 终止。

    如果站点解析到相同的 IP 地址，那么您的管理员是正确的，这将是一个问题。这与尝试在没有 CSM-S 的情况下将这两个不同的 SSL 站点托管在单个 Web 服务器上没有任何不同。使用 HTTPS，服务器必须在客户端有机会告诉服务器它想要哪个站点之前协商 SSL。如果您有一个常规的单主机证书，并且服务器（或 CSM-S）必须为单个 IP 上的多个站点使用 SSL，它将无法知道向客户端提供哪个证书。

    我知道有三种方法可以在单个 IP 上支持多个基于名称的 SSL 站点：

    1. 使用通配符 cert。为此，所有站点必须位于同一域中。
    2. 使用主题备用名称(SAN) 证书，有时称为 UCC 或统一通信证书，因为 Microsoft OCS 显然倾向于使用多个主机名。这里唯一真正的限制是大多数发行者将限制每个证书的站点数量。
    3. 在您的服务器上使用服务器名称指示(SNI)，它允许客户端在 TLS 协商期间请求站点名称。最新版本的 Apache 支持它，尽管客户端支持是混合的。但是，我认为 CSM-S 不支持 SNI，因此如果您在 CSM-S 上进行 SSL 终止，那么无论如何它都不是您的选择。

    如果您还没有这样做，那么在不同的 IP 地址上运行 www.site.com 和 secure.site.com 可能是您最容易做的事情。如果 CSM-S 可以基于 Host: header 而不仅仅是 ip:port 进行负载平衡，那么更改为两个站点共享的 SAN 或通配符证书是另一种选择。

    • 1

  2. 詹姆斯在我打字的时候发帖……偷我的风头=）

    我会补充詹姆斯的评论：

    1. 如果站点在外部解析到相同的 IP 地址，这不一定是问题，因为您可以配置策略来检查主机标头。
    2. 如果后端是相同的服务器，这仍然可以使用 James 提到的通配符证书，或者通过在不同的端口上运行服务器并在不同的服务器群中指定这些端口（有效地将它们视为完全不同的服务器） .

    例子：

    vserver FOOBAR 
 ip address 1.2.3.4 any

    相对

    vserver FOOBAR
 ip address 1.2.3.4 tcp  www

    加

    vserver FOOBAR_S
 ip address 1.2.3.4 tcp https
    • 0

相关问题